注意：
1.本文所称物项，如无特别指明，包括商品、技术、软件。
2.本文所称数据，如无特别指明，均为以电子或者其他方式对物项的记录。
3.本文所称出口，如无特别指明，均包括再出口、转让（国内）、视同出口与视同再出口。
在《数据跨境流动在<美国出口管制条例>（EAR）下的风险与应对》一文中提到了技术控制计划（TCP，Technology Control Plan)。一般而言，TCP基于视同出口（Deemed Export）与视同再出口（Deemed Reexport）的原则进行内部控制，目的是防止未经授权或许可的人员接触到受管制的敏感技术资料。
一、制定技术控制计划对中国企业、高校等科研机构的意义
（一）从美国出口管制法的视角看
在《美国出口管制科学仪器技术分类研究》一文中提到：
【以美国“两用”物品的商业管制清单（CCL）为分析对象，以中国科学仪器分类为标准，将商业管制清单中的内容与国内科学仪器的分类进行对比。通过对CCL清单的计量分析，揭示发现中国科学仪器领域相关技术受美国管制的形势非常严峻，42.08%的清单条款涉及对科学仪器的管制。在十二个科学仪器的分类中，分析仪器、工艺实验设备、电子测量仪器等是受管制范围较广的领域，激光器、核仪器是传统受到管制的领域，医学诊断仪器、大气探测仪器等受管制范围较小。】
美国出口管制科学仪器技术分类研究. 陈芳，王学昭，刘细文，王燕鹏，吴鸣. 世界科技与发展
该文不仅揭示了中国科学仪器领域相关技术受美国管制的形势非常严峻，也反映出中国的科研领域面临较高的美国出口管制风险。根据EAR §734.3规定，除排除条款另有规定外，符合下列情况时受EAR管制：
所以，中国实体采购的美国原产的科研仪器无论身处何地都将受EAR管制。此外，在最小比例规则（De Minimis Rules）和外国直接产品规则（Foreign-Direct Product Rules）下，中国实体利用特定的美国科研仪器或设备在中国境内制造的物项，也有可能受EAR管制，须遵守EAR的规定。对于不受EAR管制的基础研究（Fundamental research），本文暂不作细化讨论。
在数据跨境流动一文中我提到过EAR下的出口、再出口有更为广泛的含义。例如，将受EAR管制的物项从美国出口到中国是“向中国出口”；在美国境内将受EAR管制的物项交给中国国籍人员是“视同向中国出口”；将出口到中国境内的受EAR管制的物项交给朝鲜国籍人员是“视同向朝鲜再出口。
（二）从中国出口管制法的视角看
中国的出口管制法也有视同出口的规定。根据《出口管制法》第二条第三款规定：本法所称出口管制，是指国家对从中华人民共和国境内向境外转移管制物项，以及中华人民共和国公民、法人和非法人组织向外国组织和个人提供管制物项，采取禁止或者限制性措施。
中国不执行单边制裁，但中国作为联合国五常之一，参与制定、决定和执行联合国安理会决议（制裁措施），也加入了《不扩散核武器条约》、《禁止化学武器公约》等多边军控、裁军和防扩散条约、国际组织，中国对两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项实施的出口管制。
在上述两个视角下，随着中国企业、高校等科研机构（以下统称“中国实体”）对外交流越来越频繁，技术合作、学术交流、访问学者越来越多，管制物项被违规释放的风险增加，特别是无意释放管制物项的风险陡增，中国实体面临非常高的出口管制风险。目前，国内已有多所大学、科研机构被BIS列入实体清单、未经核实清单实施制裁，建立TCP应尽快列入议程之中。
二、如何制定技术控制计划
TCP是出口合规计划（ECP, Export Compliance Program) 的重要组成部分，我们建议企业在建立出口合规计划ECP的过程中同时建立TCP，并将TCP融入到企业的ECP中。
（一）如何判断我的研究项目、部门或机构需要TCP ?
如果我们的生产经营涉及受管制的物项，我们建议制定TCP。对下述问题的回答或许能给我们带来更好的指引，如果回答有“是”，我们应实施TCP。
我们的合同或授权中是否包含了出口管制声明？
我们的合同或授权中是否对参与人员有国籍/永久居留权限制？
赞助方或其他被确认参与科研项目的实体是否会获取或可能获取受出口管制、机密、受限、专有或敏感但非机密的物项或信息？
我们的科研项目是否使用受EAR管制（CCL清单，但不要忽视EAR 99物项的风险）或在中国出口管制清单（制定中，目前需要从各分散条例或其附录、目录中获取）的物项？
我们的科研项目是否使用软件源代码或目标代码（全部或部分）?
我们的科研项目是否使用具有加密技术的软件或设备？
我们的科研项目使用的物项是否可以用于不当最终用途，例如设计、开发、生产或者使用大规模杀伤性武器及其运载工具，恐怖主义用途；
我们的科研项目是否涉及两用物项管制规定关注的特定制剂或毒素？
我们的科研项目是否在如军事基地、专业实验室或研究设施等实施出入管控的区域进行？
（二）制定、实施TCP
一般而言，实体内部的合规部门负责制定TCP框架，具体科研项目负责人在TCP框架的基础上根据项目的实际情况进行延伸、管理和执行TCP。在这个过程中，合规部门应对项目负责人提交的申报进行审核并提供必要的指导、协助，例如背景调查、审核拟进行的出口/释放行为，提供法规指引、协助确认科研项目涉及物项是否受管制、许可证申请等，并对TCP的执行进行评估与监督。
在数据跨境流动一文中我提到过有效的TCP框架必备要素，但对于具体科研项目而言，仅包括必备要素是不够的。我将基于必备要素进行发散，为大家介绍如何针对具体科研项目制定TCP，也为大家制定TCP提供参考意见。
1.出口管制声明
在TCP的出口管制声明中，除了常规的声明内容外，高级管理层还应对TCP单独表明态度，例如“被TCP识别的物项和数据，只要我们对此负有保护和维护义务，就必须保持TCP有效运转，无论资金状况如何，此要求都适用。”
2.科研项目负责人与其他项目参与人信息
申报要素有姓名、所属部门、内部工号、雇佣类型（全职或兼职）和国籍/永久居留权，外籍人员还应填写签证类型或提供获准入境的其他类型文件。合规部门除对上述信息的真实性进行审核外，还应对所有项目参与人员进行制裁合规筛查，例如实体清单、拒绝交易清单、SDN清单等各类禁止/限制清单。
培训与合规意识培养是TCP的必备要素，所有项目参与人员在加入项目前都必须完成针对被TCP识别的物项的合规培训。培训目标应达到——项目参与人员清楚知晓自己有义务保护被识别的物项，并且有义务报告潜在问题、制止违反法律/法规的行为。
以下情况全部满足时，人员才可以获准参与项目：
已完成身份识别、认证；
已完成所需培训；
已完成背景调查和制裁合规筛查；
满足所有可适用的出口管制要求。
3.与科研项目有关的协议
申报要素有：协议类型、资金来源、签署方。科研项目负责人应准确申报与被TCP识别且需要保护的物项有关的所有协议，无论该协议是否涉及资金。
合规部门应对协议所附条件进行重点审查，例如赞助协议要求与赞助方共享研发成果，合规部门除在项目启动前对赞助方进行尽职调查外，在共享前必须基于物项的管制性质、最终目的地、最终用户和最终用途判断是否需要申请许可证或存在许可豁免。
4.科研项目涉及物项的出口管制信息和拟进行性的出口/释放行为
本部分的重点是对科研项目所涉及的物项进行归类，基于物项的归类我们可以对物项的管制程度和措施作出判断。
受EAR管制的物项需要确认其ECCN或归类为EAR99物项，受《中国禁止出口限制出口技术目录》管制的物项须确认其编号，例如禁止出口的053701J（航天器测控技术）、056001J（计算机网络技术），或限制出口的054007X （无线通信技术）、056001X（通信传输技术）、186103X（密码安全技术）等。
申报该物项在项目中的物理状态，例如是硬件、软件、电子信息、纸质文档等；申报该物项来源，是自己持有的还是由第三方提供的，如果由第三方提供，还应申报该第三方的名称以及与本项目或项目参与人员的关系。
对于在项目中拟进行的出口/释放管制物项的行为也需要进行申报，申报要素有：物项名称和管制分类号、接收方、出口/释放原因和拟进行的日期，合规部门应负责审核决定是否批准。
6.物项的安全保卫措施
（1）物理安保措施
申报有素有：科研项目工作区域位置、管制物项的存放位置和实施的安保措施。
物理安保措施包括两方面，一是外部安保，防止未经许可人员进入项目工作区域或通过口头、目视获取受管制的物项。对于实验室我们建议采取物理隔离的访问限制，例如门禁、密码锁、密码柜，在某些情况下启用双重验证。某些情况下可能无法实现物理隔离或物理隔离成本过高，所以物理隔离并非在任何时候都是必选项。但我们必须做到最低限度的安保措施——涉及管制物项的工作区域有明确的访问限制边界，足以防止口头或目视释放管制物项，例如为笔记本电脑贴上防窥膜。二是内部安保，防止内部人员释放受管制的物项。无意释放是违规的高发区，我们建议对实验室的管制物项贴上警示标签，注明其管制状态和信息，纸质文档与电子文档打上警示水印，在封面注明其管制状态和信息。
（2）信息安全措施
TCP应列明所有存储受管制物项的计算机，并列明被许可使用、访问该计算机的所有人员，为其配备登陆账号。只有经许可的项目人员才能使用存储受管制物项的计算机，所有用于存储受管制物项的计算机必须配备安全监控软件。除计算机外，对于可以使用、访问、收集和存储受管制数据的手机、平板等电子设备也要进行申报纳入管理。
如果使用云服务，云服务提供商应除满足基础安全认证要求外，还应满足特定认证标准以符合管制要求。
电脑硬盘、移动硬盘、U盘和存储卡等包含受管制数据的存储设备都应对数据进行加密（如AES 256）。
需要通过互联网（如邮件）传输的受管制的数据，必须在TCP中进行申报，申报要素有：接收方信息、拟传输数据名称及其管制信息和传输加密措施，未经许可不得通过互联网传输活在互联网上发布受管制的数据。
数据销毁是容易被忽视的地方，数据销毁须达到不可恢复要求，例如适用专门工具进行多次数据擦除、粉碎、消磁或物理销毁。
7.持续监管
合规并非一朝一夕之功，持续的合规才能助力稳健的发展。TCP需要定期更新、项目参与人员需要进行定期认证。对经批准的TCP进行任何修改、人员加入或退出，都需要获得合规部门批准。
8.记录保存
这是出口管制合规中最容易被忽视的环节，根据EAR § 762.6规定，EAR下的出口/释放活动的记录应保存5年。根据《两用物项和技术进出口许可证管理办法》第30条规定，两用物项和技术进出口的文件和有关资料五年，以备相关行政主管部门检查。”
参考引用：
1.美国出口管制科学仪器技术分类研究. 陈芳，王学昭，刘细文，王燕鹏，吴鸣. 世界科技与发展.
2.中国加入的多边军控、裁军和防扩散条约.
https://www.fmprc.gov.cn/web/wjb_673085/zzjg_673183/jks_674633/ty_674661/200802/t20080219_7668994.shtml.
3.《两用物项和技术进出口许可证管理办法》.
http://www.mofcom.gov.cn/article/swfg/swfgbf/201101/20110107351105.shtml
4.EAR § 762.6. https://www.ecfr.gov/current/title-15/subtitle-B/chapter-VII/subchapter-C/part-762/section-762.6
5.In those cases when a Technology Control Plan (TCP) is required to support an application for export license involving technology transfer, what are the elements BIS looks for in the TCP?. https://www.bis.doc.gov/index.php/policy-guidance/deemed-exports/deemed-exports-faqs/faq/493-in-those-cases-when-a-technology-control-plan-tcp-is-required-to-support-an-application-for-export-license-involving-technology-transfer-what-are-the-elements-bis-looks-for-in-the-tcp-2
1.本文所称物项，如无特别指明，包括商品、技术、软件。
2.本文所称数据，如无特别指明，均为以电子或者其他方式对物项的记录。
3.本文所称出口，如无特别指明，均包括再出口、转让（国内）、视同出口与视同再出口。
在《数据跨境流动在<美国出口管制条例>（EAR）下的风险与应对》一文中提到了技术控制计划（TCP，Technology Control Plan)。一般而言，TCP基于视同出口（Deemed Export）与视同再出口（Deemed Reexport）的原则进行内部控制，目的是防止未经授权或许可的人员接触到受管制的敏感技术资料。
一、制定技术控制计划对中国企业、高校等科研机构的意义
（一）从美国出口管制法的视角看
在《美国出口管制科学仪器技术分类研究》一文中提到：
【以美国“两用”物品的商业管制清单（CCL）为分析对象，以中国科学仪器分类为标准，将商业管制清单中的内容与国内科学仪器的分类进行对比。通过对CCL清单的计量分析，揭示发现中国科学仪器领域相关技术受美国管制的形势非常严峻，42.08%的清单条款涉及对科学仪器的管制。在十二个科学仪器的分类中，分析仪器、工艺实验设备、电子测量仪器等是受管制范围较广的领域，激光器、核仪器是传统受到管制的领域，医学诊断仪器、大气探测仪器等受管制范围较小。】
美国出口管制科学仪器技术分类研究. 陈芳，王学昭，刘细文，王燕鹏，吴鸣. 世界科技与发展
该文不仅揭示了中国科学仪器领域相关技术受美国管制的形势非常严峻，也反映出中国的科研领域面临较高的美国出口管制风险。根据EAR §734.3规定，除排除条款另有规定外，符合下列情况时受EAR管制：
受EAR管制 | 位于美国境内的所有物项，包括在美国对外贸易区（FTZ）或者经美国转运从一个外国到另一个国家 |
所有美国原产（U.S. origin）物项，无论位于何处； | |
不符合最小比例规则，“不符合”指不适用或者超过比例限制。 | |
符合外国直接产品规则的产品 | |
除此之外，从事核爆装置，核、生化武器扩散，导弹技术等活动，或从事根据EAR签发的命令被禁止的活动，例如BIS的拒绝令(Denial Order)，同样受EAR管制。 | |
所以，中国实体采购的美国原产的科研仪器无论身处何地都将受EAR管制。此外，在最小比例规则（De Minimis Rules）和外国直接产品规则（Foreign-Direct Product Rules）下，中国实体利用特定的美国科研仪器或设备在中国境内制造的物项，也有可能受EAR管制，须遵守EAR的规定。对于不受EAR管制的基础研究（Fundamental research），本文暂不作细化讨论。
在数据跨境流动一文中我提到过EAR下的出口、再出口有更为广泛的含义。例如，将受EAR管制的物项从美国出口到中国是“向中国出口”；在美国境内将受EAR管制的物项交给中国国籍人员是“视同向中国出口”；将出口到中国境内的受EAR管制的物项交给朝鲜国籍人员是“视同向朝鲜再出口。
（二）从中国出口管制法的视角看
中国的出口管制法也有视同出口的规定。根据《出口管制法》第二条第三款规定：本法所称出口管制，是指国家对从中华人民共和国境内向境外转移管制物项，以及中华人民共和国公民、法人和非法人组织向外国组织和个人提供管制物项，采取禁止或者限制性措施。
中国不执行单边制裁，但中国作为联合国五常之一，参与制定、决定和执行联合国安理会决议（制裁措施），也加入了《不扩散核武器条约》、《禁止化学武器公约》等多边军控、裁军和防扩散条约、国际组织，中国对两用物项、军品、核以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术、服务等物项实施的出口管制。
在上述两个视角下，随着中国企业、高校等科研机构（以下统称“中国实体”）对外交流越来越频繁，技术合作、学术交流、访问学者越来越多，管制物项被违规释放的风险增加，特别是无意释放管制物项的风险陡增，中国实体面临非常高的出口管制风险。目前，国内已有多所大学、科研机构被BIS列入实体清单、未经核实清单实施制裁，建立TCP应尽快列入议程之中。
二、如何制定技术控制计划
TCP是出口合规计划（ECP, Export Compliance Program) 的重要组成部分，我们建议企业在建立出口合规计划ECP的过程中同时建立TCP，并将TCP融入到企业的ECP中。
（一）如何判断我的研究项目、部门或机构需要TCP ?
如果我们的生产经营涉及受管制的物项，我们建议制定TCP。对下述问题的回答或许能给我们带来更好的指引，如果回答有“是”，我们应实施TCP。
我们的合同或授权中是否包含了出口管制声明？
我们的合同或授权中是否对参与人员有国籍/永久居留权限制？
赞助方或其他被确认参与科研项目的实体是否会获取或可能获取受出口管制、机密、受限、专有或敏感但非机密的物项或信息？
我们的科研项目是否使用受EAR管制（CCL清单，但不要忽视EAR 99物项的风险）或在中国出口管制清单（制定中，目前需要从各分散条例或其附录、目录中获取）的物项？
我们的科研项目是否使用软件源代码或目标代码（全部或部分）?
我们的科研项目是否使用具有加密技术的软件或设备？
我们的科研项目使用的物项是否可以用于不当最终用途，例如设计、开发、生产或者使用大规模杀伤性武器及其运载工具，恐怖主义用途；
我们的科研项目是否涉及两用物项管制规定关注的特定制剂或毒素？
我们的科研项目是否在如军事基地、专业实验室或研究设施等实施出入管控的区域进行？
（二）制定、实施TCP
一般而言，实体内部的合规部门负责制定TCP框架，具体科研项目负责人在TCP框架的基础上根据项目的实际情况进行延伸、管理和执行TCP。在这个过程中，合规部门应对项目负责人提交的申报进行审核并提供必要的指导、协助，例如背景调查、审核拟进行的出口/释放行为，提供法规指引、协助确认科研项目涉及物项是否受管制、许可证申请等，并对TCP的执行进行评估与监督。
在数据跨境流动一文中我提到过有效的TCP框架必备要素，但对于具体科研项目而言，仅包括必备要素是不够的。我将基于必备要素进行发散，为大家介绍如何针对具体科研项目制定TCP，也为大家制定TCP提供参考意见。
TCP | 科研项目名称 |
高级管理层的出口管制声明 | |
科研项目负责人信息 | |
科研项目参与人信息 | |
与科研项目有关的协议 | |
科研项目涉及物项的出口管制信息和拟进行性的出口/释放行为 | |
科研项目安保计划 | |
记录保存要求 | |
持续监管要求 |
1.出口管制声明
在TCP的出口管制声明中，除了常规的声明内容外，高级管理层还应对TCP单独表明态度，例如“被TCP识别的物项和数据，只要我们对此负有保护和维护义务，就必须保持TCP有效运转，无论资金状况如何，此要求都适用。”
2.科研项目负责人与其他项目参与人信息
申报要素有姓名、所属部门、内部工号、雇佣类型（全职或兼职）和国籍/永久居留权，外籍人员还应填写签证类型或提供获准入境的其他类型文件。合规部门除对上述信息的真实性进行审核外，还应对所有项目参与人员进行制裁合规筛查，例如实体清单、拒绝交易清单、SDN清单等各类禁止/限制清单。
培训与合规意识培养是TCP的必备要素，所有项目参与人员在加入项目前都必须完成针对被TCP识别的物项的合规培训。培训目标应达到——项目参与人员清楚知晓自己有义务保护被识别的物项，并且有义务报告潜在问题、制止违反法律/法规的行为。
以下情况全部满足时，人员才可以获准参与项目：
已完成身份识别、认证；
已完成所需培训；
已完成背景调查和制裁合规筛查；
满足所有可适用的出口管制要求。
3.与科研项目有关的协议
申报要素有：协议类型、资金来源、签署方。科研项目负责人应准确申报与被TCP识别且需要保护的物项有关的所有协议，无论该协议是否涉及资金。
合规部门应对协议所附条件进行重点审查，例如赞助协议要求与赞助方共享研发成果，合规部门除在项目启动前对赞助方进行尽职调查外，在共享前必须基于物项的管制性质、最终目的地、最终用户和最终用途判断是否需要申请许可证或存在许可豁免。
4.科研项目涉及物项的出口管制信息和拟进行性的出口/释放行为
本部分的重点是对科研项目所涉及的物项进行归类，基于物项的归类我们可以对物项的管制程度和措施作出判断。
受EAR管制的物项需要确认其ECCN或归类为EAR99物项，受《中国禁止出口限制出口技术目录》管制的物项须确认其编号，例如禁止出口的053701J（航天器测控技术）、056001J（计算机网络技术），或限制出口的054007X （无线通信技术）、056001X（通信传输技术）、186103X（密码安全技术）等。
申报该物项在项目中的物理状态，例如是硬件、软件、电子信息、纸质文档等；申报该物项来源，是自己持有的还是由第三方提供的，如果由第三方提供，还应申报该第三方的名称以及与本项目或项目参与人员的关系。
对于在项目中拟进行的出口/释放管制物项的行为也需要进行申报，申报要素有：物项名称和管制分类号、接收方、出口/释放原因和拟进行的日期，合规部门应负责审核决定是否批准。
6.物项的安全保卫措施
（1）物理安保措施
申报有素有：科研项目工作区域位置、管制物项的存放位置和实施的安保措施。
物理安保措施包括两方面，一是外部安保，防止未经许可人员进入项目工作区域或通过口头、目视获取受管制的物项。对于实验室我们建议采取物理隔离的访问限制，例如门禁、密码锁、密码柜，在某些情况下启用双重验证。某些情况下可能无法实现物理隔离或物理隔离成本过高，所以物理隔离并非在任何时候都是必选项。但我们必须做到最低限度的安保措施——涉及管制物项的工作区域有明确的访问限制边界，足以防止口头或目视释放管制物项，例如为笔记本电脑贴上防窥膜。二是内部安保，防止内部人员释放受管制的物项。无意释放是违规的高发区，我们建议对实验室的管制物项贴上警示标签，注明其管制状态和信息，纸质文档与电子文档打上警示水印，在封面注明其管制状态和信息。
（2）信息安全措施
TCP应列明所有存储受管制物项的计算机，并列明被许可使用、访问该计算机的所有人员，为其配备登陆账号。只有经许可的项目人员才能使用存储受管制物项的计算机，所有用于存储受管制物项的计算机必须配备安全监控软件。除计算机外，对于可以使用、访问、收集和存储受管制数据的手机、平板等电子设备也要进行申报纳入管理。
如果使用云服务，云服务提供商应除满足基础安全认证要求外，还应满足特定认证标准以符合管制要求。
电脑硬盘、移动硬盘、U盘和存储卡等包含受管制数据的存储设备都应对数据进行加密（如AES 256）。
需要通过互联网（如邮件）传输的受管制的数据，必须在TCP中进行申报，申报要素有：接收方信息、拟传输数据名称及其管制信息和传输加密措施，未经许可不得通过互联网传输活在互联网上发布受管制的数据。
数据销毁是容易被忽视的地方，数据销毁须达到不可恢复要求，例如适用专门工具进行多次数据擦除、粉碎、消磁或物理销毁。
7.持续监管
合规并非一朝一夕之功，持续的合规才能助力稳健的发展。TCP需要定期更新、项目参与人员需要进行定期认证。对经批准的TCP进行任何修改、人员加入或退出，都需要获得合规部门批准。
8.记录保存
这是出口管制合规中最容易被忽视的环节，根据EAR § 762.6规定，EAR下的出口/释放活动的记录应保存5年。根据《两用物项和技术进出口许可证管理办法》第30条规定，两用物项和技术进出口的文件和有关资料五年，以备相关行政主管部门检查。”
参考引用：
1.美国出口管制科学仪器技术分类研究. 陈芳，王学昭，刘细文，王燕鹏，吴鸣. 世界科技与发展.
2.中国加入的多边军控、裁军和防扩散条约.
https://www.fmprc.gov.cn/web/wjb_673085/zzjg_673183/jks_674633/ty_674661/200802/t20080219_7668994.shtml.
3.《两用物项和技术进出口许可证管理办法》.
http://www.mofcom.gov.cn/article/swfg/swfgbf/201101/20110107351105.shtml
4.EAR § 762.6. https://www.ecfr.gov/current/title-15/subtitle-B/chapter-VII/subchapter-C/part-762/section-762.6
5.In those cases when a Technology Control Plan (TCP) is required to support an application for export license involving technology transfer, what are the elements BIS looks for in the TCP?. https://www.bis.doc.gov/index.php/policy-guidance/deemed-exports/deemed-exports-faqs/faq/493-in-those-cases-when-a-technology-control-plan-tcp-is-required-to-support-an-application-for-export-license-involving-technology-transfer-what-are-the-elements-bis-looks-for-in-the-tcp-2